Falha no X.Org permite desbloquear o computador sem a senha

Um bug antigo do X.Org ressurgiu recentemente, ficando oculto até esta semana. O que era para ser uma funcionalidade de debug (ajudando desenvolvedores nos testes dos aplicativos e/ou do ambiente) acaba comprometendo a segurança local quando o sistema está bloqueado.

Ctrl + Alt + * na tela da senha (com o computador bloqueado, não no login) e pronto: o screensaver é finalizado. Como era de se imaginar, volta-se ao desktop com tudo o que estava aberto.

Para a maioria dos usuários isso não será um problema sério, mas em empresas dá para preocupar um pouco.

A falha está presente no X.Org Server 1.11+, em uso por diversas distros atuais. Para funcionar ela depende do mapa XKB ter os recursos de debug, o que vem ativado por padrão na maioria dos sistemas testados. Para ver a versão do x em uso você pode rodar X -version. O Ubuntu não é afetado pois usa uma versão anterior. Tecnicamente a falha não é dada como um “bug tradicional”, já que é um “recurso” que erraram em deixá-lo ativo na configuração padrão.

É isso que dá programar o X bebendo cerveja, como brincou o editor do Phoronix…

Desenvolvedores na XDC2011 Chicago

Um método para se livrar do problema pode ser editar o arquivo do mapa XKB removendo as entradas XF86Ungrab e XF86ClearGrab. Rolou uma discussão no fórum do Phoronix sobre isso. Se só você usa seu computador e/ou nunca usa a proteção de tela com senha, não há com o que se preocupar.

Em algumas distros, como Arch (mais), Fedora e Debian a solução apareceu rapidamente.